T∕CBA 210-2021 银行函证服务平台 接入要求

1、 ICS03.060CCSA11团 体 标 准T/CBA2102021银行函证服务平台接入要求Banking confirmation service platform Requirements for accessing2021-09-06发布2021-09-06实施 T/CBA2102021目次前言.II引言.III1范围.12规范性引用文件.13术语、定义和缩略语.14银行函证服务系统概述.14.1总体逻辑框架.14.2主要业务流程.24.3接入模式.25接入条件.35.1接入条件.35.2物理环境.35.3网络环境.35.4硬件与基础软件.35.5支撑可信环境的数字公钥.45.6确立管

2、理要求.46接入的开发与测试要求.46.1浏览器接入.46.2应用系统接入.5附录A（资料性）银行函证服务系统业务流程简析.6A.1概述.6A.2技术与业务均成功的基本流程.6A.3技术成功业务失败的基本流程.6A.4技术与业务均失败的基本流程.6A.5技术与业务均成功时的典型信息流.7附录B（规范性）交易状态响应码.8参考文献.10I T/CBA2102021前言中国银行业协会(ChinaBankingAssociation，CBA)成立于2000年5月，是经中国人民银行和民政部批准成立，并在民政部登记注册的全国性非营利社会团体，是中国银行业自律组织。2003年中国银监会成立后，中国银行业协

3、会主管单位由中国人民银行变更为中国银监会。2018年3月，中国银行保险监督管理委员会成立后，中国银行业协会主管单位由中国银监会变更为中国银行保险监督管理委员会。凡经业务主管单位批准设立的、具有独立法人资格的银行业金融机构(含在华外资银行业金融机构)和经相关监管机构批准、具有独立法人资格、在民政部门登记注册的各省(自治区、直辖市、计划单列市)银行业协会以及相关监管机构批准设立，具有独立法人资格的依法与银行业金融机构开展相关业务合作的其他类型金融机构，以及银行业专业服务机构均能申请加入中国银行业协会成为会员单位。中国银行业协会日常办事机构为秘书处。秘书处设秘书长1名，副秘书长若干名。根据工作需要，

4、中国银行业协会设立32个专业委员会，其中银行业产品和服务标准化专业委员会旨在开展银行业产品和服务标准化工作，包括制定和发布银行业的产品和服务标准，积极参与制定国家标准、行业规划，参与制定有关政策和法律法规，不断提高银行业产品和服务质量。本文件按照T/CBA12021中国银行业协会团体标准化文件的结构和起草规则的规定起草。T/CBA2102021银行函证服务平台接入要求是按照财政部和银保监会的要求构建的银行函证服务平台的工作技术依据系列文件之一，本系列文件结构如下：T/CBA211银行函证服务平台加密体系；T/CBA212银行函证服务平台基础数据元；TR/CBA213银行函证服务平台服务接口；T

5、R/CBA214银行函证服务平台差错处理。本文件由中国银行业协会银行函证平台服务中心提出。II T/CBA2102021引言银行函证服务系统是实现银行函证业务数字化转型的重要技术手段。如何结合各银行业金融机构有关函证业务和支撑应用系统的实际状况，实现方便、安全地接入到银行函证服务平台以构建银行函证服务系统，需要给出明确的技术要求。本文件给出了Web浏览器接入方式和应用系统接入方式的选择策略，并根据两种不同接入方式的特征，描述了接入前应达到的技术要求。尤其是对应用系统接入方式，给出了对国家网络安全等级保护标准的遵循，并考虑了对相关应用开发和测试的要求，且给出了通过银行函证服务平台进行函证传递时的

6、交易状态。通过实施本文件，能够为有意向接入的银行业金融机构和会计师事务所提供接入方式的选择依据，并对相关的开发测试工作量进行必要的评估，有利于银行函证业务的业务发展和数字化转型。III T/CBA2102021银行函证服务平台接入要求1范围本文件描述了银行函证服务平台接入概述，规定了接入条件和相关的开发与测试要求。本文件适用于接入银行函证服务平台的银行业金融机构、会计师事务所和相关机构。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T9

7、813.12016计算机通用规范第1部分：台式微型计算机GB/T9813.22016计算机通用规范第2部分：便携式微型计算机GB/T222392019信息安全技术网络安全等级保护基本要求JR/T0101银行业软件测试文档规范IETFRFC8259Java脚本对象标记数据交换格式（TheJavaScriptObjectNotation(JSON)DataInterchangeFormat）3术语、定义和缩略语下列术语和定义适用于本文件。3.1银行函证业务banking confirmation business会计师事务所等在获取被审计单位授权后，直接向银行业金融机构发出询证函，银行业金融机构针

8、对所收到的询证函，查询、核对相关信息并直接提供回函的过程。术语条目注1：询证函可能是能够进行数据元解析的，也可能仅是一个图像或不可更改格式的文件。3.2非对称密钥对 asymmetric key pair一对相关的密钥，其中私钥规定私有变换，公钥规定公开变换。来源：GB/T17901.12020，3.2，有修改私有密钥简称为私钥，公开密钥简称为公钥4银行函证服务系统概述4.1总体逻辑框架银行函证服务系统的总体逻辑架构如图1所示。1 T/CBA2102021注1：通信环境安全与否，取决于银行业金融机构和会计师事务所的接入方式。注2：相关机构不包括被审计机构，但可包括诸如中国注册会计师协会等机构。

9、图1银行函证服务系统的总体逻辑架构4.2主要业务流程银行函证服务系统的主要业务流程包括：会计师事务所向银行函证服务平台发送函证申请，并接受回函；银行从银行函证服务平台接受函证申请，在得到企业授权后，处理函证申请并发送回函；相关机构与银行函证服务平台对接，实现身份认证及数据互通等功能。银行函证服务平台的典型业务流程参见本文件附录A。4.3接入模式会计师事务所、银行业金融机构在使用银行函证服务平台的服务时，银行函证服务平台应允许通过两种方式接入。a)通过浏览器方式接入，适合于如下情况：1)接入方的银行函证业务采用手工的方式处理；2)接入方没有通过其自己的应用系统与银行函证服务平台进行银行函证业务信

10、息交换的需求。b)通过应用系统接入，适合于如下情况：1)接入方的银行函证业务采用自动化或半自动化的方式处理；2)接入方有通过其自己的应用系统与银行函证服务平台进行银行函证业务信息交换的需求。注：通过浏览器方式接入，银行函证服务系统实际上工作在集中模式；通过应用系统接入，银行函证服务系统实2 T/CBA2102021际上工作在分布模式。5接入条件5.1接入条件5.1.1线下身份认证银行函证服务平台对接入方进行线下审核及身份认证。线下身份认证必须达到中国人民银行关于印发人民币银行结算账户管理办法实施细则的通知（银发200516号）所印发的人民币银行结算账户管理办法实施细则中第9条规定的开立银行结算

11、账户的要求，并可提出附加要求。5.1.2线上身份认证接入方与银行函证服务平台通过数字公钥的交换，实现线上身份认证。5.2物理环境5.2.1浏览器接入浏览器方式接入无需特殊物理环境。5.2.2应用系统接入接入银行函证服务平台的应用系统应部署于不低于GB/T222392019中8.1.1要求的物理环境中。5.3网络环境5.3.1浏览器接入浏览器方式接入的互联网带宽应不低于10Mbit/s。在函证文档传输时，因带宽不足出现中断或传输时间过长的，应增加带宽。5.3.2应用系统接入应用系统接入应符合GB/T222392019中8.1.2的要求。5.4硬件与基础软件5.4.1浏览器接入浏览器方式接入所使用

12、的计算机硬件应符合GB/T9813.12016或GB/T9813.22016的要求。浏览器方式接入所使用的计算机操作系统可为Windows、Linux或MacOS，其Web浏览器应能支持Https协议。1)5.4.2应用系统接入接入的应用系统应按GB/T222392019中8.1.3的要求实施本系统的安全区域边界管理，并按照GB/T222392019中8.1.3的要求构建安全计算环境。1）Windows和 MacOS分别是微软公司和苹果公司提供的操作系统的商品名。给出这一信息是为了方便本文件使用者，并不表示对该产品的认可。如果其他产品具有相同的效果，那么可使用这些等效产品。3 T/CBA210

13、20215.5支撑可信环境的数字公钥5.5.1浏览器接入浏览器接入方式时，其构建支撑可信环境的数字公钥的主要步骤如下：a)接入单位使用平台提供的SDK开发工具包或国密加密算法，在接入单位本地环境运行公、私钥生成工具，建立非对称密钥对，将其中的公钥提供给银行函证服务平台；b)银行函证服务平台配置管理接入单位的公钥。5.5.2应用系统接入应用系统接入方式时，其构建支撑可信环境的数字公钥的主要步骤如下：a)接入单位使用平台提供的SDK开发工具包或国密加密算法，在接入单位本地环境运行公、私钥生成工具，建立非对称密钥对，将其中的公钥提供给银行函证服务平台；b)银行函证服务平台建立非对称密钥对，将平台公钥

14、提供给接入单位；c)接入单位在本地服务器配置平台公钥，银行函证服务平台配置接入单位公钥。5.5.3公钥的传递非对称密钥对中的公钥可通过任何方式进行传递。5.6确立管理要求5.6.1浏览器接入接入单位应确立包括如下内容的管理制度。a)建立统一牵头、分工负责的内部管理机制和工作流程。注：内部管理机制和工作流程必须符合财政部中国银保监会关于进一步规范银行函证及回函工作的通知（财会202012号）的规定。b)所使用的计算机全生命周期管理。c)计算机用户管理。d)数字公钥的介质与应用口令管理。e)计算机函证文件管理。f)浏览器接入私钥管理。g)可核查日志管理。5.6.2应用系统接入接入单位应确立包括如下

15、内容的管理制度。a)建立统一牵头、分工负责的内部管理机制和工作流程。注：内部管理机制和工作流程必须符合财政部中国银保监会关于进一步规范银行函证及回函工作的通知（财会202012号）的规定。b)接入应用系统的单位应按GB/T222392019中8.1.6的要求建立安全管理制度。6接入的开发与测试要求6.1浏览器接入4 T/CBA21020216.1.1软件开发浏览器接入不涉及到银行业金融机构或会计师事务所端的开发。6.1.2系统测试浏览器接入方式在正式投产前应进行测试，测试的策划和设计应根据系统实际功能确定。测试目的包括：a)所用计算机和浏览器能正常完成所有的业务交互功能，显示正常；b)数字公钥

16、工作正常；c)在业务办理过程中，尤其是大文件的传输过程中，传输速度和时延可接受。注：在必要时，可由银行函证服务平台的管理方提供典型测试用例和测试规程。6.2应用系统接入6.2.1软件开发基本要求应用系统自行开发的，应符合GB/T222392019中的要求；应用系统外包开发的，应符合GB/T222392019中的要求。接口方式银行业金融机构和会计师事务所服务接口支持如下方式之一。a)协议方式。通过HTTPS协议提交请求，参数以符合IETFRFC8259的JSON封装的方式发送请求。b)SDK方式。通过引入银行函证平台提供的SDK，需支持Java、C#等主流编程语言。交易响应码银行业金融机构和会计

17、师事务所服务在处理银行函证业务时发送给银行函证服务平台的交易响应码应符合本文件附录B的要求。6.2.2系统测试测试的策划和设计应根据系统实际功能确定。不论采用何种方式开发，测试应符合GB/T222392019中的要求。软件测试文档的编制，应符合JR/T0101的规定。注：在必要时，可由银行函证服务平台的管理方提供典型测试用例和测试规程。6.2.3等级测评应按照GB/T222392019中的要求进行等级测评，并获得测评报告。6.2.4应用投产应按照GB/T222392019中的要求组织投产。5 T/CBA2102021附录A（资料性）银行函证服务系统业务流程简析A.1概述银行函证服务系统的业务流

18、程分为技术与业务均成功、技术成功业务失败和技术与业务均失败三种情况。A.2技术与业务均成功的基本流程银行函证服务系统的技术与业务均成功时的典型流程如下。a)会计师事务所向银行函证服务平台发送函证申请，银行函证服务平台接受函证申请，函证状态更新为0000-待合规校验（状态代码详见附录B）。b)函证申请通过银行函证服务平台校验后，平台将函证申请转发至相应银行业金融机构，函证状态更新为0100-待参数校验。c)函证申请通过银行业金融机构的参数校验后，函证状态更新为0101-待授权。d)函证申请在被审计单位授权前，会计师事务所可撤回函证申请，撤回成功后函证状态更新为1010-已撤回。e)函证授权通过后

19、，函证状态更新为0105-待处理。f)银行业金融机构制作回函，函证状态更新为1050-已回函，并将回函发送至银行函证服务平台。A.3技术成功业务失败的基本流程银行函证服务系统的技术成功业务失败时的典型流程如下。a)如果会计师事务所的函证申请未通过银行函证服务平台校验，函证状态更新为0001-未通过合规校验。b)如果平台未成功将函证申请转发至相应银行业金融机构，函证状态更新为0002-转发至银行失败。c)如果函证申请未通过银行的参数校验，函证状态更新为1001-未通过参数校验。d)如果被审计单位的授权结果为授权不通过，函证状态更新为1011-授权不通过。e)如果被审计单位在规定期限内未授权，函证

20、状态更新为1012-授权超期。f)如果被审计单位缴费失败，银行业金融机构将函证状态更新为0103-扣费失败，被审计单位可重新进行缴费操作，直到缴费成功0102-扣费成功。注：在适配函证服务平台的基础上，银行内部具体业务流程可根据自身实际情况制定。g)如果函证状态长时间停留在0101-待授权状态，银行可以将函证状态更新为0104-授权催办，事务所获取0104状态码后，由事务所联系被审计单位进行授权催办。h)如果银行业金融机构未成功制作回函，函证状态更新为1051-制函失败。A.4技术与业务均失败的基本流程6 T/CBA2102021如果会计师事务所、银行业金融机构在请求银行函证服务平台接口时失败

21、，包括通信故障和应用系统软件故障，浏览器或平台会返回相应失败技术原因。A.5技术与业务均成功时的典型信息流银行函证服务系统的技术与业务均成功时的典型信息流如图A.1所示。图A.1银行函证服务系统的技术与业务均成功时的典型信息流信息流为：a)步骤M1：相关机构（如中国注册会计师协会）对银行函证服务平台接入方进行身份认证；b)步骤M2：会计师事务所将函证申请报文发送至银行函证服务平台；c)步骤M3：平台将校验通过的申请信息发送给银行，银行制作回函；d)步骤M4：银行发起回函请求至银行函证服务平台；e)步骤M5：会计事务所获取回函并解密验证。7 T/CBA2102021附录B（规范性）交易状态响应码

22、银行业金融机构和会计师事务所在与银行函证服务平台进行交互以处理银行函证业务的过程中，对每一个交易均应给出一个状态响应码。其代码和含义分别见表B.1和表B.2。表B.1银行业金融机构通过接口传给银行函证服务平台的状态代码编码含义1001010110111012010201030104010510501051未通过参数校验待授权授权不通过授权超期扣费成功扣费失败授权催办aab待处理（即授权成功）已回函制函失败在实际实施本文件时，银行函证服务平台的实际代码可与上述代码不一致，但应能保持一一对应的关系。a可重复执行扣费操作可重复执行催办操作b表B.2会计师事务所通过接口查询银行函证服务平台的状态代码编码含义00000001000201001001010110101011101201020103010401051050待合规校验未通过合规校验转发至银行失败待参数校验未通过参数校验待授权已撤回授权不通过授权超期扣费成功扣费失败授权催办aab待处理（即授权成功）已回函8 T/CBA2102